`보안불감증`만연… 금융감독규정 대부분 안지켜
민감한 정보 용역업체에 무방비 공개
개인범죄 벗어나 카드사 책임론 대두
민감한 정보 용역업체에 무방비 공개
개인범죄 벗어나 카드사 책임론 대두
총 1억400만명의 신용카드 이용자 정보가 유출된 초유의 보안사고가 발생하면서 과실에 대한 책임이 어디에 있는지 관심이 집중되고 있다. 다수의 금융 및 보안전문가들은 범죄를 저지른 용역업체 직원의 죄도 크지만 금융당국의 규제를 어겨가며 민감한 고객정보를 용역업체에 무방비로 열어주는 등 보안불감증을 여실히 드러낸 카드회사의 책임이 더 크다고 지적한다.
8일 검찰의 KB국민카드와 롯데카드, NH농협카드 3사로부터 총 1억400만명의 고객정보가 유출됐다는 중간수사결과를 보면 이같은 사실이 명확하게 드러난다. 카드사의 부정사용방지시스템(FDS)을 구축하기 위해 들어온 코리아크레딧뷰로(KCB) 직원 A차장이 시스템 구축을 위해 고객정보에 접근한 뒤 KB국민카드 5600만명, 롯데카드 2600만명, NH농협카드 2500만명의 고객정보를 빼돌린 것이다.
이같은 초유의 정보유출 사태가 일어난 원인은 A차장의 범죄 못지 않게 해당 카드사의 책임이 큰 것으로 나타났다. 특히 카드사들은 전자금융감독 규정상 `고객정보 등 핵심정보를 용역업체에게 제공하지 말라'는 규정을 대다수가 어긴 것으로 나타났다.
전자금융감독 규정에 따르면 금융기관은 용역업체에 위탁을 할 때 고객정보 등 핵심정보에 대한 `실제 데이터'를 제공하지 못하도록 돼 있다. 그런데 문제가 된 카드사들은 FDS를 구축하러 들어온 A차장에게 핵심 고객정보를 그대로 노출시킨 것이다.
업계 관계자는 "FDS를 구축하고 나면 부정사용여부에 대한 테스트를 해야 하는데, 이때 카드사들은 용역업체에게 테스트용 가상 신용카드거래내역을 제공해야 하지만, 가상데이터를 따로 마련하는 것 자체도 일이고, 실제 거래데이터로 테스트를 해야 더 정확하다는 판단이 있어 문제가 된 A차장에게 실제 고객데이터 접근 권한을 허용했다"고 설명했다.
카드사들인 내부자 정보유출을 막기 위한 다수의 보안 프로그램을 갖췄지만 보안규정을 제대로 준수하지 않아 1억명이 넘는 신용카드 이용자 정보를 유출시킨 셈이다.
금융IT 전문가는 "이번 유출사건을 보면 용역직원이 USB로 고객 정보를 빼내갔는데, 카드사들이 이미 내부정보통제를 위한 보안시스템을 구축하고 있었음에도 저장매체 접근을 안일하게 열어줬기 때문에 보안시스템이 무력화됐다"면서 "(카드사들이)이의 중요성을 간과한 측면이 크다"고 지적했다.
한 보안 전문가도 "정보데이터의 특성상 한번 유출되면 모든 정보가 사실상 다 풀려나갔다고 봐야한다"면서 "단 한번의 유출이 이처럼 치명적인 위협으로 돌아옴에도 불구하고 기업은 보안위협 `불감증'에 걸려있다"고 지적했다.
실제로 카드업계에 따르면 이번 정보유출사건에는 최대 고객을 확보하고 있는 삼성카드등도 포함돼 있는 것으로 알려졌다. 그러나 이 정보는 `암호화'라는 기본 장치가 돼 있어 A차장이 빼낸 정보를 별다르게 유용하지 못했다는 것이다.
카드사들이 이처럼 용역업체 직원에게 허술하게 대응한 것은 제도적 허점도 있다는 지적이다.
김경환 법률사무소민후 대표변호사는 "현행 정보통신망법, 개인정보보호법, 금융관련법을 보면 정보유출 사고가 발생했을 때 정보를 맡긴(위탁) 업체보다 이를 용역, 대행(수탁)하는 업체의 책임으로 돌리도록 돼 있다. 한마디로 위탁업체로 `면피'가 가능한 구조"라고 지적했다.
김 변호사는 "정보유출은 그 특성상 수탁자가 빼내가려는 행위를 막으려는 것보다 위탁자에 대한 처벌과 책임을 강화해 정보유출 위험을 근본적으로 차단하는 것이 중요하다"고 강조했다.
강은성기자 esther@
8일 검찰의 KB국민카드와 롯데카드, NH농협카드 3사로부터 총 1억400만명의 고객정보가 유출됐다는 중간수사결과를 보면 이같은 사실이 명확하게 드러난다. 카드사의 부정사용방지시스템(FDS)을 구축하기 위해 들어온 코리아크레딧뷰로(KCB) 직원 A차장이 시스템 구축을 위해 고객정보에 접근한 뒤 KB국민카드 5600만명, 롯데카드 2600만명, NH농협카드 2500만명의 고객정보를 빼돌린 것이다.
이같은 초유의 정보유출 사태가 일어난 원인은 A차장의 범죄 못지 않게 해당 카드사의 책임이 큰 것으로 나타났다. 특히 카드사들은 전자금융감독 규정상 `고객정보 등 핵심정보를 용역업체에게 제공하지 말라'는 규정을 대다수가 어긴 것으로 나타났다.
전자금융감독 규정에 따르면 금융기관은 용역업체에 위탁을 할 때 고객정보 등 핵심정보에 대한 `실제 데이터'를 제공하지 못하도록 돼 있다. 그런데 문제가 된 카드사들은 FDS를 구축하러 들어온 A차장에게 핵심 고객정보를 그대로 노출시킨 것이다.
업계 관계자는 "FDS를 구축하고 나면 부정사용여부에 대한 테스트를 해야 하는데, 이때 카드사들은 용역업체에게 테스트용 가상 신용카드거래내역을 제공해야 하지만, 가상데이터를 따로 마련하는 것 자체도 일이고, 실제 거래데이터로 테스트를 해야 더 정확하다는 판단이 있어 문제가 된 A차장에게 실제 고객데이터 접근 권한을 허용했다"고 설명했다.
카드사들인 내부자 정보유출을 막기 위한 다수의 보안 프로그램을 갖췄지만 보안규정을 제대로 준수하지 않아 1억명이 넘는 신용카드 이용자 정보를 유출시킨 셈이다.
금융IT 전문가는 "이번 유출사건을 보면 용역직원이 USB로 고객 정보를 빼내갔는데, 카드사들이 이미 내부정보통제를 위한 보안시스템을 구축하고 있었음에도 저장매체 접근을 안일하게 열어줬기 때문에 보안시스템이 무력화됐다"면서 "(카드사들이)이의 중요성을 간과한 측면이 크다"고 지적했다.
한 보안 전문가도 "정보데이터의 특성상 한번 유출되면 모든 정보가 사실상 다 풀려나갔다고 봐야한다"면서 "단 한번의 유출이 이처럼 치명적인 위협으로 돌아옴에도 불구하고 기업은 보안위협 `불감증'에 걸려있다"고 지적했다.
실제로 카드업계에 따르면 이번 정보유출사건에는 최대 고객을 확보하고 있는 삼성카드등도 포함돼 있는 것으로 알려졌다. 그러나 이 정보는 `암호화'라는 기본 장치가 돼 있어 A차장이 빼낸 정보를 별다르게 유용하지 못했다는 것이다.
카드사들이 이처럼 용역업체 직원에게 허술하게 대응한 것은 제도적 허점도 있다는 지적이다.
김경환 법률사무소민후 대표변호사는 "현행 정보통신망법, 개인정보보호법, 금융관련법을 보면 정보유출 사고가 발생했을 때 정보를 맡긴(위탁) 업체보다 이를 용역, 대행(수탁)하는 업체의 책임으로 돌리도록 돼 있다. 한마디로 위탁업체로 `면피'가 가능한 구조"라고 지적했다.
김 변호사는 "정보유출은 그 특성상 수탁자가 빼내가려는 행위를 막으려는 것보다 위탁자에 대한 처벌과 책임을 강화해 정보유출 위험을 근본적으로 차단하는 것이 중요하다"고 강조했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
